CVE-2024-5940: luka w wtyczce GiveWP umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji 'handle_request' we wszystkich wersjach do 3.13.0 włącznie. Umożliwia to nieautoryzowanym atakującym edycję ustawień biletów na wydarzenia, jeśli jest włączona funkcja beta Events.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanych zmian w konfiguracji wydarzeń, co może zakłócić procesy zbierania funduszy i wpłynąć na wiarygodność organizacji korzystających z wtyczki GiveWP. Administratorzy powinni traktować tę podatność jako istotne ryzyko dla integralności danych i operacji związanych z wydarzeniami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GiveWP i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji, należy ograniczyć dostęp do funkcji Events beta oraz monitorować logi pod kątem nieautoryzowanych zmian. Warto również przeprowadzić przegląd uprawnień użytkowników i wzmocnić kontrolę dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference